Sie wollen den PCI-DSS-Geltungsbereich reduzieren. Was ist der Standardansatz?
Kurzantwort
Der PCI-DSS-Geltungsbereich umfasst Systeme, die Karteninhaberdaten speichern, verarbeiten oder übertragen, sowie alles, was mit ihnen verbunden ist oder sie beeinflussen kann; eine wirksame Netzwerksegmentierung isoliert daher das Karteninhaberdaten-Umfeld (CDE) und nimmt fremde Systeme aus dem Geltungsbereich, was Kosten, Aufwand und Risiko senkt. Alle Server zu verschlüsseln definiert keine Grenze, und verbundene Systeme bleiben im Geltungsbereich; überall ungezielt Firewalls hinzuzufügen ist keine Segmentierung, wenn es die Datenflüsse nicht einschränkt und validiert; und Kartennummern nicht mehr laut vorzulesen ist Hygiene, keine Geltungsbereichskontrolle. Die systemische Antwort lautet: zu kontrollieren, wo Karteninhaberdaten liegen und was sie erreichen kann.
PCI DSS gilt für jedes System, das Karteninhaberdaten speichert, verarbeitet oder überträgt, sowie für Systeme, die mit dieser Umgebung verbunden sind oder ihre Sicherheit beeinflussen können. Der günstigste Weg, die Last zu reduzieren, besteht nicht darin, überall Kontrollen hinzuzufügen — sondern darin, von vornherein weniger Systeme in den Geltungsbereich zu bringen.
Warum Segmentierung der Hebel ist
Das Karteninhaberdaten-Umfeld (CDE) ist dort, wo Kartendaten liegen und fließen. Wenn Sie das Netzwerk so segmentieren, dass Systeme ohne Bedarf, Kartendaten zu berühren, echt vom CDE isoliert sind, fallen diese Systeme aus dem Geltungsbereich: Sie müssen die über 300 PCI-Anforderungen nicht erfüllen, nicht geprüft werden und tragen dieses Risiko nicht. Weniger Geltungsbereich bedeutet geringere Prüfkosten, eine kleinere Angriffsfläche und ein engeres, besser verteidigbares Umfeld. Segmentierung ist der anerkannte Standardmechanismus, den der PCI SSC genau zu diesem Zweck beschreibt.
Warum die Distraktoren falsch sind
Alle Server zu verschlüsseln schützt ruhende Daten, definiert aber keine Geltungsbereichsgrenze — verbundene Systeme bleiben im Geltungsbereich, und Sie haben überall Aufwand investiert, statt das Problem zu verkleinern. Überall ungezielt Firewalls hinzuzufügen ist keine Segmentierung: Segmentierung erfordert, die Datenflüsse in das CDE und aus ihm heraus bewusst einzuschränken und zu validieren, nicht Geräte ohne Konzept zu verteilen. Kartennummern nicht mehr laut vorzulesen ist vernünftige Hygiene, behandelt aber eine Gewohnheit, nicht die systemische Frage, wo Daten liegen und was sie erreichen kann.
Das geprüfte Urteilsvermögen
Der Interviewer prüft, ob Sie verstehen, dass der PCI-Geltungsbereich durch Datenfluss und Konnektivität definiert ist und dass der strategische Schritt darin besteht, den Geltungsbereich zu reduzieren, statt wahllos Kontrollen anzuwenden. Gute Antworten gehen weiter: Sie müssen die Wirksamkeit der Segmentierung nachweisen (Penetrationstests über Segmentgrenzen hinweg, von einem QSA validiert), und Sie sollten Geltungsbereichs-Reduzierer wie Tokenisierung oder eine gehostete/Weiterleitungs-Zahlungsseite erwähnen, die rohe Kartendaten vollständig aus Ihren Systemen entfernen und den Geltungsbereich drastisch zusammenschrumpfen lassen können. Diese Kombination — die Grenze gestalten, sie validieren und die Daten entfernen, wo möglich — unterscheidet eine Senior-Antwort aus GRC oder Architektur von einer reinen Checkbox-Antwort.
Wahrscheinliche Anschlussfragen
- Wie weisen Sie einem QSA nach, dass Ihre Segmentierung wirksam und nicht nur konfiguriert ist?
- Warum sind verbundene oder sicherheitsrelevante Systeme im Geltungsbereich, selbst wenn sie nie Kartendaten berühren?
- Wie verändert Tokenisierung oder eine gehostete Zahlungsseite Ihren Geltungsbereich?